ruby-on-rails - Restful_Authenticationを使用したRubyonRailsのプレーンテキストパスワード

Question

Ruby on Railsアプリでrestful_authenticationを使用する場合、パスワードはブラウザとサーバーの間でペインテキストで転送されますか？もしそうなら、私はそれについてどのくらい心配する必要がありますか？

Answer 1

そうですね、HTTPSでホストしていない場合は、心配する必要があります。ストレートHTTPの場合は、プレーンテキストで渡されているためです。

Railsについては具体的にはわかりませんが、HTTP経由でホストするかHTTPS経由でホストするかとは関係がないと確信しています。

編集：HTTPSを介したRailsアプリの例を明らかに提供するこのリンクを見つけました。

さらに編集：これは、HTTPSとRailsについて説明している別のリンクです。

Answer 2

パスワードのプライバシーが気になる場合は (そうあるべきです)、次の行を ApplicationController に追加することもできます。

filter_parameter_logging :password

そうしないと、パスワードがログ ファイルにプレーン テキストで記録されます。

Answer 3

プレーンテキストによる認証は、CHAPスタイルのプロトコルを使用して実行できます。HTTP経由でそれは可能ですか？

リプレイアタックを阻止するには、サーバー上の状態が必要になると思うので、質問しています。サーバー上の状態は、RESTfulアーキテクチャで排除する必要があります。